In het kort: een NAT-firewall is de bescherming die ontstaat doordat je router met network address translation (NAT) al je apparaten achter een enkel openbaar IP-adres verstopt. Omdat de router niet weet naar welk apparaat binnenshuis ongevraagd binnenkomend verkeer moet, gooit hij dat standaard weg. Zo zit je laptop, telefoon en smart-tv automatisch achter een gesloten deur, zonder dat je iets hoeft in te stellen. Het is een prima basisbescherming, maar geen volwaardige firewall.
Wat is NAT (network address translation)?
Je hebt thuis maar een openbaar IP-adres van je provider, terwijl je binnenshuis al gauw tien of twintig apparaten hebt draaien. NAT is de truc waarmee je router al die apparaten via dat ene adres tegelijk op internet laat. Elk apparaat krijgt een prive-adres in je thuisnetwerk (meestal iets als 192.168.1.x), en de router vertaalt dat naar buiten toe naar het openbare adres.
De router houdt daarvoor een tabel bij: welk intern apparaat heeft welke verbinding geopend, en op welke poort verwacht het antwoord. Vraagt je telefoon een webpagina op, dan noteert de router die verbinding, stuurt het verzoek naar buiten en weet bij het antwoord precies naar welk apparaat het terug moet. Deze techniek heet officieel PAT of NAPT (poortvertaling), maar in de volksmond heet alles gewoon NAT. Meer over hoe die adressen werken lees je in onze uitleg over IPv4- en IPv6-adressen.
Waarom je router standaard al beschermt
De bescherming is eigenlijk een gelukkig bijverschijnsel van NAT. Omdat verkeer van buitenaf geen prive-adres kent en de router alleen antwoorden doorlaat op verbindingen die van binnenuit zijn gestart, is er simpelweg geen route naar je apparaten voor iemand die ongevraagd aanklopt.
- Verbinding van binnen naar buiten: jouw apparaat begint, de router onthoudt het en laat het antwoord terug.
- Verbinding van buiten naar binnen: de router heeft geen vermelding in zijn tabel en laat het pakket vallen.
Het gevolg: een aanvaller die het internet afstruint naar open apparaten ziet alleen je router, niet de apparaten erachter. Poortscans lopen dood op een gesloten muur. Voor de meeste huishoudens is dit de belangrijkste reden dat je pc niet binnen een uur na aansluiten al besmet is, iets wat in de begindagen van breedband wel gebeurde.
NAT is geen echte firewall: het verschil
Hier zit de valkuil. NAT blokkeert ongevraagd inkomend verkeer, maar het inspecteert niets. Alles wat je apparaten zelf naar buiten sturen, gaat er zonder controle uit, en de antwoorden komen zonder controle terug. Een echte firewall doet meer.
- Een NAT-router laat uitgaand verkeer volledig vrij. Raakt een apparaat besmet met malware, dan mag die malware gewoon naar buiten bellen naar zijn commandoserver.
- Een echte firewall werkt met regels die je zelf instelt: welke poorten en programma’s mogen naar buiten, welk verkeer wordt geweigerd, en vaak ook filtering op inhoud of bekende kwaadaardige adressen.
- Geavanceerde firewalls kunnen verkeer meelezen (deep packet inspection), verdachte patronen tegenhouden en per apparaat of netwerkzone verschillende regels toepassen.
Wil je die extra grip, dan zet je een aparte firewall in. Voor thuisgebruik en kleine netwerken zijn open oplossingen populair; in onze vergelijking van pfSense en OPNsense lees je wat zo’n echte firewall boven de standaard router uittilt. De NAT-bescherming van je router blijft nuttig, maar zie het als het slot op de voordeur, niet als een bewaker die meekijkt wie er in en uit loopt.
Port forwarding en de risico’s
Soms wil je juist wel dat verkeer van buiten binnenkomt, bijvoorbeeld voor een gameserver, een NAS die je van onderweg wilt bereiken, of een beveiligingscamera. Daarvoor bestaat port forwarding: je maakt in je router een vaste doorgang van een bepaalde poort naar een specifiek apparaat binnenshuis. Daarmee zet je bewust een gaatje in de NAT-bescherming.
Dat gaatje is precies waar het mis kan gaan. Alles wat je openzet, is vanaf het hele internet te vinden en te proberen te kraken. Let daarom op het volgende.
- Zet nooit een beheerpaneel of afstandsbediening (zoals de inlogpagina van je router, RDP of een onbeveiligde camera) zomaar open. Dit zijn geliefde doelwitten van geautomatiseerde aanvallen.
- Forward alleen de poorten die je echt nodig hebt, en richt ze op een vast intern IP-adres, niet op een heel apparaatbereik.
- Zorg dat het apparaat achter de doorgang up-to-date is en een sterk, uniek wachtwoord heeft. De NAT-bescherming valt hier immers weg.
- Overweeg voor toegang op afstand een VPN naar je thuisnetwerk in plaats van losse poorten open te zetten. Dan is er maar een goed beveiligde ingang.
Let op UPnP. Deze functie laat apparaten zelf poorten openzetten in je router, zonder wachtwoord of controle. Handig voor games en consoles, maar ook malware kan er ongemerkt gaten mee prikken in je NAT-bescherming. Heb je het niet echt nodig, zet UPnP dan uit in je router. Zeker het Amerikaanse CISA en beveiligingsonderzoekers raden dat al jaren aan.
Praktische tips voor je thuisrouter
Met een paar instellingen haal je het meeste uit de bescherming die je router al biedt. Loop deze lijst eens langs in het beheerscherm van je router (meestal bereikbaar via 192.168.1.1 of 192.168.0.1 in je browser).
- Verander het standaard beheerderswachtwoord van de router en gebruik een lang, uniek wachtwoord.
- Zet UPnP uit als je het niet nodig hebt, en verwijder port forwarding-regels die je ooit hebt aangemaakt maar niet meer gebruikt.
- Schakel externe toegang (remote management) tot het routerbeheer uit, tenzij je het bewust gebruikt.
- Houd de firmware van je router bij. Veel routers updaten automatisch; controleer of dat aanstaat, of doe het handmatig via het beheerscherm.
- Zet kwetsbare apparaten in een apart gastnetwerk. Slimme lampen, camera’s en andere IoT-apparatuur horen niet op hetzelfde netwerk als je laptop met bankzaken.
- Vertrouw niet blind op NAT alleen. Houd ook de apparaten zelf veilig met updates en goede wachtwoorden.
En met IPv6 dan?
Bij het nieuwere IPv6 is er genoeg adresruimte, waardoor NAT vaak niet meer nodig is en apparaten een eigen openbaar adres kunnen krijgen. De automatische verstopachter-een-adres verdwijnt daarmee. Gelukkig hebben de meeste routers voor IPv6 standaard een echte inkomende firewall aanstaan die ongevraagd verkeer blokkeert, zodat je alsnog beschermd bent. Controleer wel of die IPv6-firewall in jouw router actief is, want juist daar leun je niet meer op de bijvangst van NAT. Het verschil tussen beide adresvormen leggen we uit in het artikel over IPv4 en IPv6.
Veelgestelde vragen
Heb ik met een NAT-router nog een aparte firewall nodig?
Voor gewoon thuisgebruik biedt NAT een goede basisbescherming tegen ongevraagd inkomend verkeer. Wil je uitgaand verkeer controleren, apparaten van elkaar scheiden of regels per programma instellen, dan voegt een echte firewall daar duidelijk iets aan toe.
Beschermt NAT ook tegen virussen?
Nee. NAT houdt aanvallers van buitenaf tegen, maar doet niets tegen een virus dat je via een download, bijlage of besmette website zelf binnenhaalt. Daarvoor heb je updates, gezond verstand en eventueel virusscanner nodig.
Is port forwarding gevaarlijk?
Port forwarding is niet gevaarlijk zolang je alleen openzet wat je echt nodig hebt en het apparaat erachter goed is beveiligd en bijgewerkt. Het wordt riskant als je onbeveiligde diensten of beheerpanelen zomaar vanaf het hele internet bereikbaar maakt.
Moet ik UPnP uitzetten?
Als je geen apparaten hebt die het echt nodig hebben, is UPnP uitzetten een verstandige keuze. Het laat programma’s namelijk zonder controle poorten openen in je router, wat ook door malware misbruikt kan worden.
Wil je stap voor stap grip krijgen op je online veiligheid, begin dan bij onze gids veilig internetten voor beginners. Wie een stap verder wil dan de standaard routerbescherming, vindt in de vergelijking van pfSense en OPNsense een goede start.
Bron: CISA-advies over UPnP en gangbare documentatie over network address translation en stateful firewalls. Laatst gecontroleerd in juli 2026.